Na konferencji Black Hat USA 2014, która odbyła się dwa miesiące temu, sporo zamieszania wywołała prezentacja Karstena Nohla i Jakoba Lella dotycząca ataku o nazwie BadUSB. Niemieccy badacze odkryli lukę w oprogramowaniu układowym mikrokontrolerów, które stosuje się w urządzeniach podłączanych za pomocą USB. Specjalista przepytany przez redakcję serwisu BAD[SECTOR].PL wskazuje, że wykorzystanie tej luki może prowadzić do:

• ukrywania szkodliwego kodu w układach USB,
• emulowania dowol­nych urządzeń przez zarażone układy,
• pod­słuchiwania danych wymienianych w obrębie tej samej szyny (tego samego huba USB),
• prób ataków wymierzonych w sterow­niki lub oprogramowanie układowe innych urządzeń.

Osoby znające język angielski mogą obejrzeć prezentację Nohla i Lella na oficjalnym kanale konferencji w serwisie YouTube (zob. BadUSB - On Accessories that Turn Evil). Z uwagi na brak pewnej ochrony przed zademonstrowanym atakiem badacze postanowili nie upubliczniać szczegółów technicznych odkrytej przez siebie luki. Od czego jest jednak inżynieria wsteczna...

Pamięć USB, fot. shutterstock.com

Kod exploitujący lukę w USB ujawniony

Adam Caudill i Brandon Wilson przeanalizowali atak pokazany przez niemieckich badaczy i na konferencji DerbyCon 4.0 2014 zaprezentowali jego własną wersję. To wystąpienie również można obejrzeć na YouTubie (zob. Making BadUSB Work For You). Jakby tego było mało, w serwisie GitHub każdy zainteresowany znajdzie kod źródłowy umożliwiający przeprogramowanie firmware'u mikrokontrolera firmy Phison stosowanego w wielu urządzeniach.

Redaktorzy serwisu dobreprogramy pokusili się o przetestowanie udostępnionego exploita. Bez większych problemów udało się nam uzyskać złośliwy pendrive, przenoszący rozmaite „bomby logiczne”. Nie są to tylko ataki wymierzone w Windows, bez większych trudności można przygotować taki atak działający na OS X czy Linuksie - czytamy w podsumowaniu.

Sposób na wykorzystanie luki został upubliczniony, zanim producenci sprzętu i oprogramowania zdołali opracować stosowne mechanizmy zabezpieczające. Tym, którzy twierdzą, że nie ma to nic wspólnego z odpowiedzialnym ujawnianiem (ang. responsible disclosure), Caudill i Wilson odpowiadają, że to jedyny sposób na przyspieszenie zmian architektonicznych w standardzie USB, które mogłyby rozwiązać problem.

Nie jest to zresztą problem nowy, co dwa miesiące temu sygnalizował także Niebezpiecznik. Istnieje możliwość, że służby specjalne i firmy trudniące się wywiadem gospodarczym wykorzystują lukę w USB już od dawna. Zdaniem badaczy ludzie zasługują na szczegółowe informacje o podatności, bo tylko tak mogą się przed nią obronić.

Jak zminimalizować ryzyko

„Zainstaluj dobrego antywirusa” - standardowa rada ekspertów ds. bezpieczeństwa w tym przypadku jest bezużyteczna. Atak znany jako BadUSB polega na umieszczeniu szkodliwego kodu w oprogramowaniu układowym (czyli w firmwarze) mikrokontrolera. Nie słyszałam o żadnym antywirusie, który potrafiłby zlokalizować takie zagrożenie. Mało tego, zainfekowane urządzenie może decydować o sposobie, w jaki będzie widziane przez system - zwykły pendrive może np. udawać klawiaturę, która zamiast użytkownika wprowadzi określone komendy.

Co można w takiej sytuacji zrobić, oprócz zaklejenia wszystkich portów USB, jak pół żartem, pół serio sugerują niektóre serwisy? Przede wszystkim nie podłączać do naszego komputera niezaufanych urządzeń. Można też przemyśleć powrót do klawiatury i myszy ze złączem PS/2 (może uchowały się gdzieś na strychu). Niegłupim pomysłem będzie też rezygnacja z pendrive'a na rzecz karty SD, która równie dobrze nadaje się do przenoszenia plików.

Ostatnia sprawa, o której często zapominają zwłaszcza użytkownicy Windowsa: czy aby na pewno musimy pracować na koncie z uprawnieniami administratora? Jak nie bez racji zauważa Niebezpiecznik: złośliwe akcje wykonywane są na prawach użytkownika, który „wetknął” urządzenie USB. Odpowiednie ograniczenie uprawnień użytkownikowi (dostęp do krytycznych systemowych usług) może być pewnym rozwiązaniem.

Czytaj także: USB ma poważną dziurę. Dotyczy wszystkich komputerów